KVKK KAPSAMINDA AYDINLATMA YÜKÜMLÜLÜĞÜ
7 Mayıs 2010 tarihinde TBMM’de kabul edilen 5982 sayılı Kanunla Anayasa’nın 20. maddesine eklenen ek fıkra “Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar
Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir.” hükmünü içermekte olup, anılan hüküm ile, herkesin kendisiyle ilgili kişisel verilerin korunmasını isteme hakkı anayasal bir hak olarak güvence altına alınmıştır. Anayasa’da yer verilen bu düzenleme sonucunda; herkesin kendisi le ilgili kişisel verilerin korunmasını isteme hakkına sahip olduğu ve bu hakkın kişinin kendisiyle ilgili veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve verilerin alındığı amaç doğrultusunda kullanılıp kullanılmadığını öğrenme ve kişisel verilerin ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebileceği hükme bağlanmıştır.
Kişisel veriler hakkında gerekli yasal taban hazırlandıktan sonra; detaylı düzenlemeler için Kanun çıkartılması zorunluluğu doğmuştur. Bu bağlamda 26 Aralık 2014 tarihinde ‘ Kişisel Verilerin Korunması Kanunu Tasarısı ‘ oluşturulmuştur. Tasarı, 24 Mart 2016 tarihinde kanunlaşmış ve 6698 sayılı Kişisel Verilerin Korunması Kanunu 7 Nisan 2016 tarihinde Resmi Gazete’de yayımlanarak yürürlüğe girmiştir. Kanunun amacı kişisel verilerin işlenmesine yasal disiplin getirilmesi ve özel hayatın gizliliği gibi temel hak ve hürriyetlerin korunmasıdır. Kişisel verilerin nasıl ve ne gibi koşullara bağlı olarak işlenebileceğini denetim altına alma ereğini izleyen Kanun; çeşitli sistemlerle günlük hayatın önemli bir parçası olan kişisel verilerin hukuka aykırı olarak işlenmesini engelleme amacı gütmektedir. Ayrıca, kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasların da düzenlenmesi Kanunun amaçları arasında yer almaktadır.
6698 sayılı Kanunun ‘Tanımlar‘ başlıklı 3. maddesinde, veri sorumlusu “kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi” olarak tanımlanmıştır. Veri sorumluları; gerçek kişiler olabileceği gibi, kamu kurumları, şirketler, dernekler veya vakıflar gibi tüzel kişiler de olabilir. Bir kimsenin veri sorumlusu olarak kabul edilebilmesi için, bir veri kayıt sistemini yönetiyor olması gerekir. Yine 3. Maddede veri kayıt sitemi, “kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi” olarak tanımlanmıştır. Veri sorumlusu isterse kişisel verileri bizzat işleyebileceği gibi veri işleme faaliyetini gerçekleştirmek üzere üçüncü bir kişiyi de yetkilendirebilir. Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen bu tür gerçek veya tüzel kişiler, Kanunun 3. Maddesinde “veri işleyen” olarak adlandırılmıştır. Kanunda kişisel verilerin korunmasına ilişkin bazı yükümlülükler, veri sorumluları ile birlikte veri işleyenler için de getirilmiştir. Bu yükümlülüklerin tamamını kapsamlı bir şekilde incelememekle beraber; veri sorumlularının kişisel verileri işlerken uyması gereken en önemli nokta yani aydınlatma yükümlülüğüne değinmek gereklidir.
6698 sayılı Kişisel Verilerin Korunması Hakkındaki Kanun’da; kişilere; kişisel verilerinin kim tarafından işlendiği, hangi amaçlarla ya da neye dayanarak işlendiği, işlenen bu kişisel verilerin hangi kişilere aktarılabileceği ya da hangi sebeplerle aktarılabileceği konusunda bilgi edinme hakkı tanınmıştır ve bu da 10. Maddedeki ‘Aydınlatma Yükümlülüğü‘ bağlamında ele alınmıştır. Buna göre veri sorumlusu, Kanunun 10. maddesi uyarınca bir takım bilgileri veri sorumlusu veya yetkilendirdiği kişilerin ilgili kişilere aktarma zorunluluğu vardır.
Bu bilgiler Kanun’da şu şekilde sıralanmıştır;
• Veri sorumlusunun ve varsa temsilcisinin kimliği,
• Kişisel verilerin hangi amaçla işleneceği,
• Kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
• Kişisel veri toplamanın yöntemi ve hukuki sebebi,
• 11. maddede sayılan diğer hakları.
Kanun’un 11. Maddesi ise kişisel verilerinin işlendiği kişinin haklarını tanımlamaktadır. Veri sorumluları aydınlatma yükümlülüğü kapsamında hazırlayacakları aydınlatma metinlerinde kişilerin bu haklara sahip olduklarını da belirtmelidirler;
• Kişisel veri işlenip işlenmediğini öğrenme,
• Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
• Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
• Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
• 7 nci maddede öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
• (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
• Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme
Veri işleme; ilgili kişinin özgür iradesi ile yaptığı rıza beyanına dayansa dahi veri sorumlusunun ilgili kişiyi aydınlatma yükümlülüğü devam etmektedir. Verisi işlenen kişi, kişisel verilerinin hangi amaçlarla veya nasıl işlendiği konusunda aydınlatılmalıdır. Bu yükümlülük yerine getirilirken de veri sahibine verilecek bilgiler, VERBİS’e girilen bilgilerle uyumlu olmak zorundadır. Ayrıca, aydınlatma yükümlülüğü kapsamında aydınlatma beyanı da veri sahibinin onayına tabi olmayıp; tek taraflı bir irade beyanı ile hazırlanabilir. Nitekim bu yükümlülüğünün yerine getirildiğinin ispatı veri sahibine değil veri sorumlusuna aittir.
Stj. Av. Emir Özel